Organisaation olisi tehtävä virallinen sopimus kyberturvallisuuspalvelujen tarjoajan kanssa. Sopimuksessa on edellytettävä, että palveluntarjoaja ilmoittaa organisaatiolle viipymättä asiaankuuluvista uhkista ja haavoittuvuuksista ja antaa neuvoja lieventämistoimenpiteistä. Tämä voidaan toteuttaa esimerkiksi tietoturvaoperaatiokeskuksen (Security Operations Center, SOC), hallinnoidun tietoturvapalvelun tarjoajan (Managed Security Service Provider, MSSP) tai kyberuhkatiedustelupalvelun avulla, joka antaa oikea-aikaisia hälytyksiä ja toimintaohjeita.

Keskeisiin sopimusehtoihin olisi sisällyttävä:

• Uhka- ja haavoittuvuusilmoitusten erityiset aikataulut.
• Organisaation vastuu toimittaa palvelulle tarvittavat järjestelmätiedot.
• Prosessi, jolla varmistetaan, että hälytykset vastaanottaa ja käsittelee pätevä henkilöstö.

Jos useampi yritys tekee yhteisen sopimuksen, kaikki tilaajayritykset on mainittava sopimuksessa. Kaikkien osallistuvien yritysten on myös säilytettävä jäljennös sopimuksesta.

Organisaatiolla on dokumentoitu prosessi tietoturvahäiriöiden (myös tietoturvaloukkaukset) hallintaa varten havaitsemisesta lopulliseen ratkaisuun. Prosessissa otetaan huomioon kaikki tarvittavat näkökohdat, kuten viestintä asiaankuuluvien sidosryhmien kanssa, ilmoitusvaatimukset ja tekniset lieventämistoimet. Organisaatiolla on tekniset ja organisatoriset resurssit, jotta se voi reagoida asianmukaisesti tietoturvahäiriöihin ja loukkauksiin.

Organisaatiolla tulisi olla määritelty ja hyvin dokumentoitu toipumissuunnitelma. Toipumissuunnitelma olisi voitava käynnistää häiriötilanteen aikana tai sen jälkeen. Elvytystoimet ja -toimenpiteet vaihtelevat vaaratilanteesta toiseen, esimerkiksi vaaratilanteen tyyppi voi vaikuttaa toteutettaviin toimiin. Näihin toimiin voivat kuulua:

• Häiriön aikana menetettyjen tai vahingoittuneiden tarpeettomien resurssien aktivointi uudelleen.
• Laitteiston ja ohjelmistojen uudelleenasentaminen vaurioituneisiin komponentteihin
• Konfiguraatioasetusten palauttaminen, mukaan lukien tarvittavat mukautukset
• Häiriön aikana pysäytettyjen palvelujen palauttaminen

Organisaation olisi omaksuttava "build back better" -ajattelutapa, kun se rakentaa ICT-järjestelmiä uudelleen. Tämä tarkoittaa, että järjestelmät olisi rakennettava uudelleen parempaan tilaan kuin ne olivat ennen häiriötä.

Organisaation on luotava toimintatavat, joiden avulla tunnistetaan, kerätään ja säilytetään tietoturvahäiriöihin liittyvä relevantti todistetieto. Todisteiden voi olla tarpeen olla kerätty tavalla, joka voidaan hyväksyä relevanteissa tuomioistuimissa tai muissa vastaavissa kurinpitoelimissä.

Todistemateriaaliin liittyen pitäisi pystyä osoittamaan mm.:

• tietueet ovat täydellisiä, eikä niitä ole muokattu millään tavalla
• kopiot sähköisistä todisteista ovat todennäköisesti identtisiä alkuperäisten kanssa
• tietojärjestelmä, josta todisteita on kerätty, toimi oikein keräyshetkellä

Liittyvän henkilökunnan sekä työkalujen sertifiointia tai muita pätevyystodisteita voidaan lisäksi harkita sovellettavan todisteiden arvon vahvistamiseksi.